Dịch vụ Cập nhật Windows Server (WSUS) là dịch vụ cập nhật cho phép quản trị viên quản lý bản vá và bản cập nhật bảo mật cho các sản phẩm Microsoft tập trung (Windows, Office, SQL Server, Exchange, v.v.) trên máy tính và máy chủ trong mạng doanh nghiệp. Tóm lại, cách thức hoạt động của WSUS như sau. Máy chủ WSUS được lên lịch đồng bộ hóa với máy chủ Microsoft Update trên Internet và tải xuống các bản cập nhật mới nhất cho các sản phẩm đã chọn. Quản trị viên WSUS chọn bản cập nhật nào phải được cài đặt trên trạm làm việc và máy chủ của công ty. Máy khách WSUS tải xuống và cài đặt các bản cập nhật cần thiết từ máy chủ cập nhật doanh nghiệp theo các chính sách đã cấu hình. Máy chủ cập nhật WSUS riêng của bạn cho phép bạn tiết kiệm lưu lượng Internet và quản lý việc cài đặt bản cập nhật trong công ty linh hoạt hơn.
Microsoft cũng cung cấp các hệ thống cài đặt bản cập nhật khác cho sản phẩm của họ, chẳng hạn như SCCM (System Center Configuration Manager). Tuy nhiên, khác với nhiều sản phẩm khác, máy chủ WSUS hoàn toàn miễn phí (thực tế, phần mềm cập nhật trong SCCM – SUP, Software Update Point, cũng dựa trên WSUS).
Trước khi phát hành Windows Server 2012, phiên bản mới nhất của máy chủ cập nhật Microsoft là Windows Server Update Services 3.0 SP2 – WSUS 3.2, không hỗ trợ các hệ điều hành hiện đại (như Windows 10 và Windows Server 2012 R2/2016). Cùng với việc phát hành nền tảng máy chủ mới, Microsoft đã trình làng phiên bản mới WSUS 6.0 (điều kỳ lạ là, logic ra phiên bản này nên tên là WSUS 4.0…).
Không có gì mới về nguyên tắc trong phiên bản WSUS mới trong Windows Server 2012 R2/2016. Lưu ý rằng gói cài đặt WSUS hiện không thể tải xuống riêng biệt từ trang web Microsoft, nó được tích hợp vào bản phân phối Windows Server và được cài đặt như một vai trò máy chủ riêng biệt. Ngoài ra, WSUS 6.0 giới thiệu khả năng quản lý cài đặt bản cập nhật bằng PowerShell.
Trong bài viết này, chúng tôi sẽ đề cập đến các vấn đề cơ bản về cài đặt và cấu hình vai trò WSUS trên Windows Server 2012 R2 / Windows Server 2016.
Cách cài đặt vai trò WSUS trên Windows Server 2012 R2 / 2016?
Trong Windows Server 2008, WSUS được phân bổ vào một vai trò riêng biệt có thể cài đặt qua bảng điều khiển Server Management. Trong Windows Server 2012 R2 / 2016, điều này không thay đổi. Mở bảng điều khiển Server Management và chọn vai trò Windows Server Update Services (hệ thống sẽ tự động chọn và đề xuất cài đặt các thành phần cần thiết của máy chủ web IIS).
Chọn tùy chọn WSUS Services, sau đó bạn cần chọn loại cơ sở dữ liệu mà WSUS sẽ sử dụng.
WSUS trên Windows Server 2012 hỗ trợ các cơ sở dữ liệu sau:
- Windows Internal Database (WID);
- Microsoft SQL Server 2008 R2 SP1, 2012, 2014, 2016 các phiên bản Enterprise / Standard / Express.
Theo đó, bạn có thể sử dụng Cơ sở dữ liệu nội bộ Windows WID (Windows Internal database), miễn phí và không yêu cầu cấp phép bổ sung. Hoặc bạn có thể sử dụng cơ sở dữ liệu SQL Server chuyên dụng cục bộ hoặc từ xa (trên máy chủ khác) để lưu trữ dữ liệu WSUS.
Cơ sở dữ liệu WID mặc định được gọi là SUSDB.mdf và được lưu trữ trong thư mục %windir%\wid\data. Cơ sở dữ liệu này chỉ hỗ trợ xác thực Windows (không phải SQL). Ví dụ cơ sở dữ liệu nội bộ (WID) cho WSUS được gọi là server_name\Microsoft##WID. Cơ sở dữ liệu WSUS lưu trữ cài đặt máy chủ cập nhật, siêu dữ liệu cập nhật và thông tin máy khách WSUS.
Cơ sở dữ liệu nội bộ (Windows Internal Database) được khuyến nghị nếu:
- Tổ chức của bạn không có và không có kế hoạch mua giấy phép SQL Server;
- Không có kế hoạch sử dụng cân bằng tải WSUS (NLB WSUS);
- Nếu bạn có kế hoạch triển khai máy chủ WSUS con (ví dụ: tại văn phòng chi nhánh). Trong trường hợp này, khuyến nghị sử dụng cơ sở dữ liệu WSUS tích hợp sẵn trên các máy chủ thứ cấp.
Cơ sở dữ liệu WID WSUS có thể được quản lý qua SQL Server Management Studio (SSMS), nếu bạn chỉ định trong chuỗi kết nối sau: \\.\pipe\MICROSOFT##WID\tsql\query.
Lưu ý rằng trong các phiên bản miễn phí của SQL Server 2008/2012 Express có giới hạn kích thước cơ sở dữ liệu tối đa – 10 GB. Có khả năng lớn rằng giới hạn này sẽ không được đạt đến (ví dụ, kích thước cơ sở dữ liệu WSUS cho 3000 máy khách là khoảng 3 GB). Cơ sở dữ liệu Windows Internal Database bị giới hạn ở 524 GB.
Nếu bạn cài đặt vai trò WSUS và cơ sở dữ liệu MS SQL trên các máy chủ khác nhau, có một số hạn chế:
- SQL Server với cơ sở dữ liệu WSUS không thể là bộ điều khiển miền;
- Máy chủ WSUS không thể đồng thời là Remote Desktop Services Host.
Nếu bạn dự định sử dụng cơ sở dữ liệu WID tích hợp sẵn (đây là tùy chọn được khuyến nghị và khả thi ngay cả cho cơ sở hạ tầng lớn), hãy chọn tùy chọn Database.
Sau đó bạn cần chỉ định thư mục để lưu trữ bản cập nhật (khuyến nghị ít nhất 10 GB dung lượng trống trên ổ đĩa được chọn).
Kích thước cơ sở dữ liệu WSUS phụ thuộc rất lớn vào số lượng sản phẩm và phiên bản Windows OS mà bạn dự định cập nhật. Trong một tổ chức lớn, kích thước tệp cập nhật trên máy chủ WSUS có thể đạt hàng trăm GB. Ví dụ, kích thước thư mục WSUS của tôi là khoảng 400 GB (lưu trữ bản cập nhật cho Windows 7, 8.1, 10, Windows Server 2008 R2, 2012 / R2/ 2016, Exchange 2013, Office 2010 và 2016, SQL Server 2008/2012/2016). Hãy nhớ điều này khi lên kế hoạch dung lượng lưu trữ cho tệp WSUS của bạn.
Nếu trước đó bạn đã chọn sử dụng cơ sở dữ liệu SQL riêng biệt, bạn phải chỉ định tên máy chủ cơ sở dữ liệu, Instance DB và kiểm tra kết nối.
Sau đó vai trò WSUS với tất cả các thành phần cần thiết sẽ được cài đặt. Khi cài đặt kết thúc, hãy chạy Bảng điều khiển quản lý WSUS trong Server Manager.
Bạn cũng có thể cài đặt máy chủ WSUS với cơ sở dữ liệu nội bộ bằng lệnh PowerShell sau:
Install-WindowsFeature -Name Updateservices,UpdateServices-WidDB,UpdateServices-services –IncludeManagementTools
Cấu hình cơ bản WSUS trên Windows Server 2012 R2 / 2016
Khi bạn khởi động bảng điều khiển WSUS lần đầu tiên, Trình hướng dẫn Cấu hình Máy chủ Cập nhật sẽ tự động bắt đầu. Hãy xem xét các bước cơ bản để cấu hình máy chủ WSUS bằng trình hướng dẫn.
Chỉ định máy chủ WSUS có lấy bản cập nhật trực tiếp từ trang web Microsoft Update hay nó nên tải xuống từ máy chủ WSUS thượng nguồn. Tùy chọn thứ hai thường được sử dụng trong các mạng lớn để cấu hình máy chủ WSUS của một khu vực lớn, nhận bản cập nhật từ WSUS tại văn phòng trung tâm (cấu hình này giảm đáng kể tải trên các kênh WAN giữa trụ sở chính và chi nhánh).
Nếu máy chủ WSUS của bạn phải tải xuống bản cập nhật từ máy chủ Windows Update, và bạn truy cập Internet qua máy chủ proxy, bạn phải chỉ định địa chỉ máy chủ proxy, cổng và thông tin xác thực để truy cập nó.
Tiếp theo, kết nối với máy chủ cập nhật thượng nguồn được kiểm tra. Nhấp Start Connecting.
Sau đó bạn cần chọn ngôn ngữ mà WSUS sẽ tải xuống bản cập nhật. Chúng tôi chọn Tiếng Anh (danh sách ngôn ngữ có thể thay đổi thêm từ bảng điều khiển WSUS).
Sau đó chỉ định danh sách sản phẩm mà WSUS nên tải xuống bản cập nhật. Bạn phải chọn tất cả các sản phẩm Microsoft được sử dụng trong mạng doanh nghiệp của mình. Hãy nhớ rằng tất cả các bản cập nhật bổ sung chiếm dụng dung lượng ổ cứng, vì vậy các sản phẩm thừa không nên được chọn. Nếu bạn chắc chắn rằng không có máy tính chạy Windows XP hoặc Windows 7 trên mạng của mình, đừng chọn các hộp kiểm cho các hệ điều hành này. Điều này sẽ tiết kiệm đáng kể dung lượng ổ cứng máy chủ WSUS.
Nếu cần, bạn có thể nhập thủ công bất kỳ bản cập nhật nào từ Microsoft Update Catalog vào máy chủ WSUS của bạn.
Trên trang Classification, chỉ định loại bản cập nhật sẽ được phân phối qua WSUS. Khuyến nghị chọn: Critical Updates, Definition Updates, Security Packs, Service Packs, Update Rollups, Updates.
Các bản nâng cấp build Windows 10 (1709, 1803, 1809, v.v.) trong bảng điều khiển WSUS thuộc lớp Upgrades.
Tiếp theo, bạn nên chỉ định lịch đồng bộ hóa bản cập nhật – khuyến nghị sử dụng đồng bộ hóa tự động hàng ngày của máy chủ WSUS với máy chủ Microsoft Update. Đồng bộ hóa WSUS nên được thực hiện vào ban đêm, để không quá tải kênh Internet trong giờ làm việc.
Đồng bộ hóa ban đầu của máy chủ WSUS với máy chủ cập nhật thượng nguồn có thể mất vài ngày, tùy thuộc vào số lượng sản phẩm bạn đã chọn trước đó và nhà cung cấp dịch vụ Internet của bạn.
Sau khi trình hướng dẫn hoàn tất, bảng điều khiển WSUS được khởi chạy.
Để cải thiện hiệu suất của máy chủ WSUS trên Windows Server, khuyến nghị loại trừ các thư mục sau khỏi quét chống virus:
- \WSUS\WSUSContent;
- %windir%\wid\data;
- \SoftwareDistribution\Download.
Máy khách giờ có thể nhận bản cập nhật bằng cách kết nối với máy chủ WSUS trên cổng 8530 (trong Windows Server 2003 và 2008, cổng 80 được sử dụng theo mặc định). Với số lượng lớn máy tính (hơn 1000), hiệu suất của nhóm IIS WsusPoll, phân phối bản cập nhật cho máy khách, có thể được cấu hình theo bài viết.
Để xem các báo cáo cập nhật khác nhau trong bảng điều khiển WSUS, bạn phải cài đặt thành phần tùy chọn Microsoft Report Viewer 2008 SP1 Redistributable (hoặc cao hơn) trên máy chủ của bạn.
Trong các bài viết khác, chúng tôi sẽ xem xét cách cấu hình thêm máy chủ WSUS trên Windows Server 2012 R2 / 2016: cấu hình cài đặt máy khách WSUS bằng Chính sách nhóm, cách phê duyệt bản cập nhật mới, và sao chép bản cập nhật đã phê duyệt giữa các nhóm đích WSUS.
Hãy theo dõi!